Covid-19 salgını Kapsamında İşçilerin Verileri İşlenirken Nelere Dikkat Edilmelidir? 4 Mayıs 2020

Bilindiği üzere, Kişisel Verilerin Korunması Hakkında Kanun’un (“Kanun”) 7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazete’de yayımlanması ile birlikte, yayımlanan ikincil mevzuat da göz önüne alınarak veri sorumlularına birtakım ciddi yükümlülükler yüklenmiş; söz konusu yükümlülüklerin ihlali birtakım yaptırımlara bağlanmıştır.

Bununla birlikte, yeni tip koronavirüs salgınının tüm dünyayı etkisi altına alması ile birlikte özellikle işyerlerinde salgının önlenmesi ve işçilerin salgına yakalanmasının önlenmesi amacıyla birtakım ek önlemler alınması gündeme gelmiştir. Covid-19 salgınının yarattığı olağanüstü ortam göz önüne alındığında, veri sorumlularının kişisel verilerin korunması mevzuatından kaynaklanan yükümlülüklerini göz ardı etmemeleri, alınan ek tedbirlerde söz konusu yükümlülüklerin özellikle göz önüne alınması büyük önem arz etmektedir.

Nitekim Kişisel Verilerin Korunması Kurumu (“Kurum”) resmi internet sitesi üzerinden yayınladığı “Covid-19 ile Mücadele Sürecinde Kişisel Verilerin Korunması Kanunu Kapsamında Bilinmesi Gerekenler” isimli duyuru ile bu hususun altını çizmiştir. Kurum, ilgili duyuruda bu istisnai zamanlarda dahi veri sorumluları ve veri işleyenlerin, ilgili kişilerin kişisel verilerinin güvenliğini sağlamaları gerektiğini vurgulamıştır. Dolayısıyla, işverenler tarafından yeni tip koronavirüs salgınının engellenmesi kapsamında alınan önlemlerde, kişisel verilerin korunması mevzuatı bakımından hangi hususlara dikkat edilmesi gerektiğini hatırlatmak gerekmiştir.

Kişisel Verilerin İşlenmesinde Dikkat Edilmesi Gereken Temel İlkeler Nelerdir?

Kanun, kişisel verilerin işlenmesinde dikkat edilecek temel ilkeleri hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme şeklinde sıralamıştır.

Buna göre, Kanun’un öngördüğü temel ilkelere riayet etme zorunluluğu yeni tip koronavirüs salgını nedeniyle ortadan kalmamaktadır. Dolayısıyla, salgının önlenmesi kapsamında çalışanların sağlık verileri gibi özel nitelikli kişisel verileri dahil her türlü kişisel verisinin sınırsız bir şekilde işlenebileceği; salgını önleme amacının işverenler bakımından olağanüstü bir veri işleme yetkisi oluşturduğu gibi bir sonuca varılmamalıdır.

Çalışanların Açık Rızası Alınmadan Sağlık Verileri İşlenebilir Mi?

Covid-19 salgınının yaygınlaşması ile birlikte işyerlerinde, salgının önlenmesi amacıyla birtakım önlemler alınması gündeme gelmiştir. Buna göre, toplu halde çalışılan işyerlerinde çalışanların bir kısmının salgına yakalanması diğer çalışanlar bakımından da hastalık tehlikesi yaratacağından, işverenin birtakım önlemler almakla yükümlü olduğu tartışmasızdır.

Öte yandan, söz konusu önlemler alınırken özellikle sağlık verilerinin işlenmesi bakımından dikkat edilmesi gereken hususlar bulunmaktadır. Buna göre, Kanun’un 6. Maddesi sağlık verilerinin de dahil olduğu özel nitelikli kişisel verilerin ancak veri sahibinin açık rızası ile işlenebileceğini düzenleme altına almıştır. Kanun sağlık verileri bakımından açık rıza aranmayan birtakım istisnalar öngörmekle birlikte, yeni tip koronavirüs salgını kapsamında işverenler tarafından alınacak önlemleri söz konusu istisnalar kapsamında değerlendirmek mümkün görünmemektedir.

Bu kapsamda, işyerlerinde özellikle, işe giriş çıkışlarda çalışanlarının ateşlerinin ölçülmesi, hastalık tehdidinin bulunup bulunmadığını tespit etmek amacıyla çalışanlara sağlık durumları ile ilgili sorular sorulması gibi önlemler alındığı gözlemlenmektedir. Burada önemle belirtmek gerekir ki, söz konusu önlemlerin alınmasında işçilerin açık rızalarının alınması zaruridir. Açık rızanın alınması bakımından her ne kadar Kanun bir şekil şartı öngörmemişse de, işverenlere ileride yaşanabilecek uyuşmazlıklar neticesinde herhangi bir yaptırıma maruz kalmamak adına, hazırlanacak uygun metinler ile yazılı açık rıza almaları tavsiye edilmektedir.

Çalışanların Sağlık Verileri İşyeri Hekimi Tarafından İşlenebilir mi?

Yukarıda bahsedildiği üzere, Kanun’un 6. Maddesi özel nitelikli verilerin açık rıza alınmaksızın işlenmesi amacıyla birtakım istisnalar öngörmüştür. Buna göre, kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi gibi nedenlerle sır saklama yükümlülüğü bulunan kişiler tarafından sağlık verilerinin açık rıza alınmaksızın işlenmesi mümkündür. Bu nedenle, işyerlerinde Covid-19 salgınının önlemesi kapsamında işyeri hekimi tarafından birtakım önlemler alınarak söz konusu verilerin işlenmesi mümkündür. Ancak bu halde dahi, yukarıda bahsedilen genel ilkelere uygun hareket edilmeli, dolayısıyla alınacak her bir önlemin hukuka uygun olup olmayacağı hukuken değerlendirilmelidir.

İşveren, bir çalışanın virüs taşıdığını diğer çalışanlarına açıklayabilir mi?

Covid-19 salgınının hızla yayılan etkileri göz önüne alındığında, işveren tarafından alınan tüm önlemlere rağmen işyerinde ir veya birden fazla çalışanın yeni tip koronavirüse yakalanması gibi bir olasılık bulunmaktadır.

Bu noktada, hastalığın tespitinden önceki dönemde çalışanın işyerinde temasta bulunduğu diğer çalışanların bilgilendirilmesi, bu konuda gerekli önlemlerin alınması gerektiği şüphesizdir. Bununla birlikte, kamu sağlığının korunması bakımından alınması gerekli bu önlemler işverenlere sınırsız bir yetki tanımamaktadır. Nitekim Kurum yaptığı duyuruda, mümkün olduğunca hastalığa yakalanan çalışanın isminin ve diğer bilgilerinin açıklanmasından kaçınılması gerektiğini belirtmiştir. Ancak Covid-19 pozitif teşhisi konulan çalışanın temas ettiği kişilerin tespiti için çalışanın isminin açıklanmasının zorunlu olduğu hallerde de, ilgili çalışanın bu hususta önceden bilgilendirilmesinin uygun olduğu ve gerektiğinden fazla bilgi verilmemesi gerektiği vurgulanmıştır.

Çalışandan virüsten etkilenen ülkelere yakın dönemde gerçekleştirdikleri seyahatler ve virüs belirtileri hakkında bilgi talebinde bulunabilir mi?

Yukarıda açıklandığı üzere, kişisel verilerin korunması mevzuatı kapsamında, kişisel verilerin işlenmesinde de hukuka uygunluk ve meşru menfaat gibi ilkelerin gözetilmesi gerekmektedir. Buna göre, veri işleme amacının hukuka uygunluğu her bir faaliyet bakımından ayrı ayrı değerlendirilmelidir. Bununla birlikte, yeni tip koronavirüsün neden olduğu salgın dolayısıyla alınacak önlemler çerçevesinde çalışanlardan seyahat ettikleri ülkeler, virüse ilişkin belirtiler gibi konularda bilgi talebinde bulunulabileceği öngörülmektedir.

Nitekim Kurum yayınladığı duyuruda, işverenlerin, çalışanın sağlığını korumak ve güvenli bir iş yeri sağlamakla ilgili yasal yükümlülükleri kapsamında söz konusu bilgileri talep etmelerinde haklı gerekçeleri bulunacağını değerlendirmiştir.